1、网络安全的对策 第 1 页 共 7 页 题目: 网络安全的对策 本稿所投栏目： 技术专题 作者简介： 张鹰 ， 男， 1974 年 11 月生，汉族。工学学士，计算机应用专业。现北京市崇文区地方税务局信息化管理科工作。主要研究方向：网络设计和网络安全。 ZhangYing , Male , November of 1974, The Han nationality。a bachelor degree in engineering course, The computer apply specialty ,Information manager section of Beijing Chongw
2、enqu Local Taxation Bureau。Mostly research：Net work Design and Network Security. 联系方式(Relation means): 通信地址：北京市崇文区体育馆西路 8 号 post address: No.8 Tiyuguan West Road,Chongwen District,Beijing 电话：67151029 telephone: 67151029 手机：13651037502 mobile telephone: 13651037502 邮编：100061 post code: 100061 网络安全的对策
3、 第 2 页 共 7 页 网络安全的对策 Countermeasure of Network Security (100061 北京 北京市崇文区地税局 ) 张鹰 （ 100061 Beijing Beijing Chongwenqu Local Taxation Bureau） Zhang,ying 摘要： 网络安全是当今世界普遍关心的问题，本文主要介绍了加强网络安全的一些基本策略以及安全管理工作中应注意的问题和开展的工作。 关键词： 安全 策略 教育 管理 Abstract: Network security is a all world concerned problem. This t
4、opic mainly introduces some policies used in network security and some problems about works of security management, and works that must be done. Keywords: Security、 policies、education、management 中图分类号 ：TN915.08 文献标示码： 计算机网络的广泛应用已经对经济、文化、教育与科学的发展产生了重要的影响，同时也不可避免地带来了一系列新的社会、道德、政治与法律问题。 计算机犯罪正在引起社会的普遍关
5、注，而计算机网络是被攻击的重点。计算机犯罪是一种高技术型犯罪，由于其犯罪的隐蔽性，因此对计算机网络安全构成了很大的威胁。在国际上，计算机犯罪案件正在以每年 100的速率增长；在 Internet 网上， “黑客” （ hacker）攻击事件则以每年 10 倍的速率增长；计算机病毒则从 1986 年被首次发现以来，十年间正以几何级数增长，目前已经发现了 2 万多种病毒，它对计算机网络带来了很大的威胁。美国金融界为此每年损失金额近百亿美元。 随着政府上网、税务上网、电子商务、网上娱乐等网络应用的蓬勃发展，网络应用越来越深地渗透到金融、国防、尖端科学等关键要害领域。网络的安全，包括在其上的数据安全和
6、网络设备服务的运行安全，日益成为与国家、政府、企业、个人的利益相关的 “大事情 “。网络安全的保障能力是一个国家综合国力、经济竞争实力和生存能力的重要组成部分。网络安全问题解决不好将全方位地危及国家的政治、军事、经济、文化、社会生活的各个方面。 当你的计算机接入了因特网时，你已经把你的数据、你的资源和你的声誉置于风险之中。资料显示，目前与网络连通性相关的计算机安全问题主要有三种： * 非授权访问 ：没有访问权的人访问授权之外的资源。 * 信息泄漏 ： 有价值或机密信息泄露给无权访问该信息的人。 网络安全的对策 第 3 页 共 7 页 * 拒绝服务 ： 使系统难以或不能执行预定任务，使用户服务请
7、求不能响应。 与此相对应，人侵者的入侵行为可分为三种： 入侵 ： 通过入侵就能够使用你的计算机。 盗窃信息 ：无需直接利用你的计算机就可以获取数据信息。 拒绝服务 ：阻止你使用自己的计算机。 无论何种入侵行为，都对网络构成重大威胁，必须给予充分地重视。千里之堤，毁于蚁穴。对一个覆盖面广、操作系统繁多的网络来说，网络的复杂性要求必须有一个全面的网络安全策略。网络安全是一项涉及到方方面面的工程，必须有周密、细致的考虑。 在加强网络安全时，应该充分考虑和采取下面的一些基本策略： 1、最小特权原则 或许最根本的安全原则就是最小特权原则。从网络安全的角度考虑问题，打开的服务越多，用户的权限越大，可能出现
8、的安全漏洞就会越多，系统就越危险。最小特权原则意味着任何对象（用户、管理员、程序、系统等等）仅应具有该对象需要完成指定任务的特权。 很多因特网上的安全问题都可以看到是没有遵循最小特权原则造成的。例如，在 Sendmail 程序中存在并继续产生着很多安全问题，任何一个大型程序都会有这种小毛病。问题在于 Sendmail 程序运行 Setuid root 命令，很多对 Sendmail 的侵袭就因此获得方便。因为它是作为 root 用户来操作的，Sendmail 引起了入侵者的高度重视，而事实上它只不过是一个可以使工作容易的程序。所以最小特权原则不仅意味着尽量简化有特权的程序，还意味着如果一个复杂
9、程序要求特权，你应把需要特权的部分从这个复杂程序中分离和独立出来。 实行最小特权时有两个问题。 首先， 当它不符合你正使用的程序和协议特点时， 实施可能很复杂，你必须非常仔细地确认你已成功地实施了最小特权； 其次， 你最终所分配的特权可能要小于最小特权，这将使有些任务无法完成。 “最小特权 “原则是一个重要的思想原则，它通过具体实现，可以以最小的代价迅速地大大加强网络安全水平。所以它是网络安全的一个重要元素。 2、纵深防御原则 另一个原则是纵深防御。不要只依靠单一安全机制，尽量建立多层机制。你当然不会希望某个单一安全机制失败后你的网络会彻底地垮掉。你可以通过建立多层机制以互相提供备份和冗余；网
10、络安全、主机安全和人员安全。所有这些机制都很重要，而且会很奏效，但不要对它们中的任何一个抱有绝对的信任。 3、阻塞点 阻塞点强迫侵袭者通过一个你可以监控的窄小通道。在因特网安全系统中，位于你的局域网和因特网之间的防火墙（假设它是你的主机和因特网之间的唯一连接）就是这样的一个阻塞点：任何一个因特网上的侵入者必须通过这个防御侵袭的通道， 你应仔细监视这条通道， 并在发现侵袭时做出响应。 阻塞点看起来像是把你所有的鸡蛋放在一个篮子里，这自然不是好方法，但在关键在于它是一个让你网络安全的对策 第 4 页 共 7 页 能专心保护的篮子。多种选择导致你在众多可能的防御方式中分散精力。如果你由此分散精力，你
11、就不会在防御的工作中做到令人满意，或者其他人会趁你忙于防御某一种侵袭的方式时，利用另一种方式潜入你的网络。 4、最薄弱环节 安全保护的基本原则是链的强度取决于它的最薄弱环节，就像墙的坚固程度取决于它的最弱点。聪明的侵袭者总要找到那个弱点并集中精力对其进行攻击。你应意识到防御措施中的弱点，以便采取行动消除它们，同时你也可以仔细监测那些无法消除的缺陷。平等对待安全系统的所有情况，以使得此处已彼处得危险性不会有太大的差异。 然而，经常会有最薄弱环节。解决方法是使那段连接尽量坚固，并在发生危险前保持均衡的强度。主机安全保护模式都会受到阻塞点和最薄弱环节之间的相互制约作用的影响， 这些消极影响是难以消除
12、的。如果没有阻塞点则意味着有很多的链接，而它们中大部分实际上是非常薄弱的。 5、失效保护状态 安全保护的另一个基本原则就是在某种程度上做到失效保护，即如果系统运行错误，那末它们会停止服务，拒绝用户访问，这可能会导致合法用户无法访问该系统，但这是可以接受的折衷方法。 我们提到的大部分应用都提供了失效保护机制。 在网络安全中失效保护原则的最大应用就是根据安全的需要选择你的网络状态。 这个状态本质上就是你对安全保护的总要求。 以下提供两个可以采用的基本状态： 默认拒绝状态：只指明你所允许的事情，而其他一切皆禁止。 默认许可状态：只指明你所禁止的事情，而其他一切皆允许。 从安全角度讲，默认拒绝状态是最
13、佳的选择；从方便用户访问角度讲，默认许可状态比较合适。 6、普遍参与 为了使安全机制更有效，绝大部分安全保护系统要求网络用户的普遍参与。如果某个用户可以轻易地从你的安全保护机制中退出，那麽侵袭者很有可能会先侵袭内部人员系统，然后再从内部侵袭你的网络。你怎样使每一个人都参与安全机制呢？参与可以是自愿的，也可以是非自愿的，还可以是两者兼而有之。显然，自愿参与远比非自愿参与更可取。 7、防御多样化 正如你可以通过使用大量的系统提供纵深防御一样， 你可以通过使用大量不同类型的系统得到额外的安全保护。如果你的系统都相同，那只要知道怎样侵入一个系统就会知道怎样侵入所有系统。 防御多样化的含义是使用不同的安
14、全保护系统， 以降低因一个系统失败而危及整个系统的机会。 但是，系统的复杂性是和成本相关的。采用不同的复合系统要更难，花费的时间更长，而且要比采用单一系统贵得多。你将不得不购买多个系统和多个使用许可，这样也会使你花费额外时间和精力来培训员工掌握这些不同的系统。 应提防虚假的多样性。同时，还要防止不同的系统被同一个人配置，这样可能会使错误具有普遍网络安全的对策 第 5 页 共 7 页 性。例如，如果管理员误解了某种特殊协议的工作原理，那你的各种系统可能都会按这种误解而错误配置。 尽管我们不得不承认使用复合系统可以增强安全性，但复合系统也有它的麻烦，而且潜在的收益和成本不成比例。每个网络会根据自己
15、的情况做出决策。 8、简单化 简单化也是一个安全保护战略，这有两个原因：第一，简单的事情易于理解，如果你不了解某事，你就不能真正了解它是否安全；第二，复杂的社会提供隐藏的角落和缝隙，一间工作室比一栋大厦更容易保证其安全。 复杂的程序有更多的小毛病， 任何小毛病都可能引发安全问题。 程序越复杂， 小毛病越难被发现。 网络安全策略就是网络安全工作的法律，任何用户和管理员都必须遵守。有了这些网络安全策略后，我们还应该具体从下面几个方面开展工作： 1、实体安全 实体安全是网络安全最基本的保证，它应考虑这样一些因素：设施的安装位置；物理访问控制；对自然灾害的防护；对磁性介质的处理；防电磁泄漏等。 它的目
16、的是保护路由器、交换机、工作站、各种网络服务器、打印机等硬件实体和通信链路免受自然灾害、人为破坏和搭线窃听攻击；确保网络设备有一个良好的电磁兼容工作环境。 抑制和防止电磁泄漏是实体安全的一个主要问题。目前主要防护措施有两类：一类是对传导发射的防护，主要采取对电源线和信号线加装性能良好的滤波器，减小传输阻抗和导线间的交叉耦合。另一类是对辐射的防护，这类防护措施又可分为以下两种：一是采用各种电磁屏蔽措施，如对设备的金属屏蔽和各种接插件的屏蔽，同时对机房的下水管、暖气管和金属门窗进行屏蔽和隔离；二是干扰的防护措施，即在计算机系统工作的同时，利用干扰装置产生一种与计算机系统辐射相关的伪噪声向空间辐射来
17、掩盖计算机系统的工作频率和信息特征。 2、备份与恢复 备份磁带是在网络系统由于各种原因出现灾难事件时最为重要的恢复和分析的手段和依据。 网络运行部门应该制定完整的系统备份计划，并严格实施。备份计划中应包括网络系统和用户数据备份、完全和增量备份的频度和责任人。 备份数据磁带的物理安全是整个网络安全体系中最重要的环节之一。通过备份磁带，一方面可以恢复被破坏的系统和数据；另一方面，通过恢复磁带数据，攻击者也可以获得系统的重要数据，例如系统加密口令、数据库各种存档以及用户其它数据，从而为正面进攻网络系统获得入手点。甚至，通过恢复备份数据，攻击者已经获得足够的数据，使得入侵网络已无必要，直接造成重要失密
18、事件。 定期地检验备份磁带的有效性也非常重要。机械地定期备份，到急需恢复数据时发现磁带数据损坏不管怎样也是一件非常让人气愤的事。所以，定期的恢复演习是对备份数据有效性的有力鉴定，同时也是对网管人员数据恢复技术操作的演练，作到遇问题不慌，从容应付，保障网络服务的提供。 网络安全的对策 第 6 页 共 7 页 3、内部员工的管理和教育 根据美国联邦调查局 1998 年的统计数据，网络攻击主要包括四种来源，它们分别是国外政府、竞争对手、黑客和不满的雇员。参见图 1。 从图中，可以看到四种来源中不满的雇员是最高的。制定有效的管理制度，加强内部员工的管理是必要的，增强对员工的法制教育和职业道德教育，都是
19、减少网络攻击的一种有效手段，同时也能大大降低网络被攻击的概率。 4、网络安全管理职能的分割与责任分担 责任明确化、具体化永远是有力的实施手段。如果运行、维护人力资源允许，将网络的安全维护、系统和数据备份、软件配置和升级等责任具体到网管人员，实行包机制度和机历本制度等，保证责任人之间的备份和替换关系。一般来说，不可能网管安全责任人全部具有非常高的安全技术水平，同时出于人力资源的考虑，设立网络安全技术支援小组，将技术的跟踪研究与措施的具体实施分割开来是一种较为经济的考虑。 不同于电信网应用软件管理的特点，Internet 网的软件升级是非常频繁和细碎的事情。软件升级的目的除了提供新得功能以外，就是
20、弥补过去的安全漏洞。所以往往需要网管人员经常及时地更新和升级软件。这应该列为网管人员的重要责任之一。 5、管理、管理、管理 即使是一个完美的安全策略，如果得不到很好的实施，也是空纸一张。一般来说，安全与方便通常是互相矛盾的。据反映，有些网络安全专家虽然知道自己网络中存在的安全漏洞以及可能招致的攻击，但是出于管理协调方面的问题，却无法去更正。因为是大家一起在管理使用一个网络，包括用户数据更新管理、路由政策管理、数据流量统计管理、新服务开发管理、域名和地址管理等等。网络安全管理只是其中的一部分，并且在服务层次上，处于对其它管理提供服务的地位上。这样，在与其它管理服务存在冲突的时候，网络安全往往需要
21、作出让步。 流于形式是安全管理失败的主要原因。 在多个公共服务器用户的目录中管理单位发给用户的警告文件， 内容大致是不要使用简单单词作为自己的口令， 尤其不要使用用户名做口令以及其它注意事项。但是，这样的警告是否起作用了呢？事实上，相当部分用户从来没有登录过，当然也就根本没有看到过该警告。在相当部分公共服务主机上，使用脆弱口令的用户往往超过 10%，有些站点甚至超过 30%。网络安全的对策 第 7 页 共 7 页 这通常关系到各地数据业务部门为用户初始化口令时的安全政策，有的初始化成了用户名，有的初始化成了统一口令（如 123456），同时没有保证用户及时修改的措施。于是，上面的警告和口令安全
22、策略也就流于形式，根本没有起到加强网络安全的作用。 类似的例子还有很多， 这说明网络安全策略的制定和技术力量的充实只是使网络安全有了可能，但使其成为现实并保持尚需要在管理上花大气力。 管理落实是实现网络安全的关键。 6、多层次考察网络 许多大的网络公司雇佣专门的安全评估小组对其网络进行模拟攻击，以求避免类似“不识庐山真面目，只缘身在此山中“的效果。 多方位、多角度地考察网络安全漏洞和弱点是提高网络安全水平的重要保证。 安全本身不是目的，它只是一种保障。国际标准化组织（ ISO）将“计算机安全”定义为：为数据处理系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄露。简单说，安全的目的是保证网络数据的三个特性：可用性、完整性和机密性。 发现问题要立即纠正。安全工作要作到有法可依、有法必依、违法必纠。制定适当完备的网络安全策略是实现网络安全的前提，高水平的网络安全技术队伍是保证，严格的管理落实是关键。 参考文献： 1 公安部公共信息网络安全监察局编，计算机信息系统安全培训教程。北京：群众出版社，2002。
